Devo fornire alcuni accessi ssh chroot ragionevolmente completi a un sistema molto piccolo in cui lo spazio su disco è un vantaggio.
Stavo pensando di fare qualcosa in questo modo:
mkdir -p newroot/usr newroot/home/user newroot/lib newroot/bin newroot/var
mount -o bind,ro /bin newroot/bin
mount -o bind,ro /lib newroot/lib
mount -o bind,ro /usr newroot/usr
invece della copia più tradizionale.
È una pratica accettabile o sto aprendo strade di sfruttamento?
Le cose principali da tenere a mente: - Se si montano directory complete, si dà effettivamente accesso utente chroot a tutte quelle risorse (in particolare binari). Sarebbe più sicuro inserire solo i binari richiesti in chroot (vale a dire in un caso dovevo fornire accesso solo a ls e scp, ma nient'altro). Ciò limiterà potenzialmente la superficie di attacco, poiché ci sarebbero meno eseguibili da sfruttare. - D'altra parte, il montaggio di tali directory consente di mantenere aggiornate le risorse del chroot, limitando potenzialmente le vulnerabilità esplosive. Ma questo può essere ottenuto aggiornando le risorse del chroot manualmente o tramite script programmato.
Nel complesso, mantenere l'ambiente chroot completamente separato è considerato più sicuro. Ma tutto dipende in ultima analisi dal tuo livello di paranoia, dalla criticità di questo sistema e da altri controlli di sicurezza che potresti avere in atto.